Claudeの悪用事例 — 2026年9月版レポートで見る7つの脅威領域

Anthropicは2026年9月10日、Claudeの悪用事例をまとめた脅威インテリジェンスレポートを公開しました。対象期間は2025年12月から2026年8月までの8か月間です。無効化した事案は7領域に分かれます。サイバー攻撃・影響工作・監視・詐欺・生物学的悪用・通常兵器開発・不正蒸留です。使われたモデルはClaude Haiku・Sonnet・Opusで、不正蒸留の1件を除きFableとMythosクラスのモデルは悪用事例に含まれていません。この記事では、サイバー攻撃とAIサプライチェーンへの攻撃を中心に、日本の開発者やセキュリティ担当者に直接関わる変化を取り上げます。

要点

レポート全体を貫くメッセージは一つです。攻撃の巧妙さは、もはや誰が攻撃しているかを見分ける手がかりになりません。ハクティビストも国家系アクターも、同じ自律型のAI基盤を使い、同等の規模の攻撃を仕掛けています。

• 対象期間は2025年12月〜2026年8月の8か月間。サイバー攻撃・影響工作・監視・詐欺・生物学的悪用・通常兵器開発・不正蒸留の7領域を扱う
• サイバー攻撃は人間の指示を都度受けるだけでなく、検知されるたびに自動でマルウェアを作り直すところまで自律化が進んだ(GTG-20006)
• 盗まれたAPIキーとセッショントークンが攻撃の主戦場になった。詳細が報告された2つの事例では、窃取先はいずれも顧客環境で、Anthropic自身のシステムは侵害されていない
• 未公開のClaudeモデルへのアクセスを狙った攻撃(GTG-50020)は十を超える経路を試みたが、そのすべてが失敗に終わった
• 中国拠点の7つのラボによる不正蒸留が常態化し、Fable 5.1のpreserved thinkingなど新しい対抗策が導入された

Claudeを使う開発チームの防御はどう変わるか

いま攻撃対象になっているのは、AI関連の認証情報そのものです。APIキーやセッショントークンを本番の認証情報と同じ扱いにしていないチームは、対策を見直す価値があります。

APIキーとセッショントークンを本番シークレットとして扱う

露出した鍵の出どころは、GitHubの公開リポジトリ、モバイルアプリのインストールファイル、Dockerコンテナ、Webサイト、チャットボットです。攻撃者はこれらを常時マイニングしています。ShinyHunters系の攻撃者は、侵入先のソフトウェアベンダーから盗んだAPIキー1件を約3週間使い回し、フランスの小売チェーンへの侵入などの二次攻撃を実行しました。

手順

盗まれた鍵が攻撃に回るまで

1. 1

   鍵が露出する

   公開コードやアプリの配布ファイル、コンテナイメージ、チャットボットの設定に、APIキーやセッショントークンが残ります。

2. 2

   攻撃者が収集する

   スクレイピングや解析の自動化で、露出した鍵を大規模に拾います。マルウェアで利用者の端末から奪う経路もあります。

3. 3

   ブローカーが流通させる

   盗まれた鍵や端末上のセッションは、ブローカーを介して売買されます。

4. 4

   偽の再販サイトや攻撃で使われる

   偽の再販ネットワークが鍵を使い切るまで入れ替えて売るほか、攻撃者が自分の攻撃処理に使います。

窃取した鍵は、攻撃者に「戦利品」「計算資源」「隠れ蓑」の3つを同時に与えます。使われた費用と痕跡は、鍵の正規の持ち主に付きます。

エージェントの自律実行範囲を点検する

ロシア系の攻撃者(GTG-20006)は、セキュリティ製品にマルウェアを検知されるたびに、AIエージェントが自動で検知回避コードへ作り直す仕組みを構築していました。中国系の攻撃者(GTG-10007)は、偵察・脆弱性調査・マルウェア開発を並行して進め、そのうち情報収集と脆弱性調査は人が離席していても動き続けるように組んでいました。一方で、標的選定・成果の収益化・最終レビューといった重要な判断は、いまも人間の手に残っています。線引きが要るのは攻撃側だけではありません。無人で回してよい範囲と、人が最後に確認する範囲の線引きは、防御側にも同じように効いてきます。

割引再販サービスは認証情報の回収口になっている

ある攻撃者は、フロンティアAIモデルへの割安なアクセスを装うWebサイトを構築しました。配っていたのは、Claude Codeを含む人気のAIハーネス(AIを動かす実行基盤)になりすましたクライアントアプリです。実態は、端末上の認証情報とセッショントークンをまとめて送信するマルウェアです。

別の事例のGTG-50021は、ロシア語とウクライナ語を話すグループです。安いClaudeアクセスを売る偽の再販業者を運営していましたが、実際の通信は別のAIモデルへひそかに中継されていました。裏ではAnthropicのアカウント認証情報を盗み、他のAIプロキシ再販業者へ転売していました。

くらべる

正規の購入経路と、割引再販の違い

安全な側

正規チャネル

提供元かクラウドなどの正規の販売経路で購入します。通信先と認証情報の渡し先が、契約した相手のままです。

危険な側

身元不明の割引再販

安さと引き換えに、通信と認証情報を未知の仲介者に預けます。報告の事例では、中身が別のモデルで、認証情報は転売されました。

Anthropicは、AIへのアクセスは正規のチャネルだけを通じて購入するよう求めています。仲介者を経由する割引の提案自体が、利用者のデータとシステムへの大きなリスクになるという指摘です。組織側の悪用検知の強化は、同時期に発表された企業向けの悪用検知の仕組みが参考になります。

開発環境の入口はどこから突かれるか

ここまでの事例は、攻撃者が必要とする情報の置き場所ごとに分けると、見直す範囲を絞れます。

7つの領域で何が起きたか

サイバー攻撃 — 検知されるたびにマルウェアを自動で作り直す

ロシア系の攻撃者GTG-20006は、ウクライナの政府機関24以上をスキャンし、開発から侵入、データ窃取までの大半を自動化していました。狙われたのはウクライナ政府や軍、外交関係者、ドローン部品メーカーです。ある国のIT当局への侵入では、30万件を超える国民ID記録と、50万社を超える企業の商業登記データを窃取しています。2025年11月に公表された、AIに攻撃を自律実行させる運用モデルは、調査したあらゆる層のアクターに広がっています。GTG-20006はその一例で、検知されると自動でツールキットを作り直して再展開していました。

ShinyHunters系のアクター群(GTG-50014)の手口は、次の数字で見るのが早いです。

数字

GTG-50014 の供給網攻撃

• 一括取得したAndroid APK

  180万件

  認証情報を探すパイプライン

• 下流の顧客組織

  約200社

  SaaSベンダーを踏み台に侵入

• セッションストアの窃取

  約34時間

  40社超のテナントで2,100件超のAzure ADトークンセット

あるケースでは、1テラバイトを超えるデータを持ち出し、公開サイトに載せて身代金の支払いを迫っています。

中国系の攻撃者(GTG-10007)は、約50組織を標的にしながら、ある調査ワークフローだけで1か月に十数件のゼロデイ候補を見つけ出す自律的な脆弱性研究プログラムを運用していました。

もう一つの節目は、未公開モデルへのアクセスを狙った攻撃です。ロシア系の金融目的アクター(GTG-50020)は、もとはホテル予約や金融サービスの会社を狙っていました。ある侵入では約26ギガバイトを盗み、恐喝やダークウェブでの売却によって150万〜250万ドル(原文は$1.5〜2.5 million)を得ようとしていました。その手口をAI業界へ向け、あるAIベンダーの評価用サンドボックスに不正な指示を注入して、複数プロバイダーの本番APIキーを奪いました。奪った鍵を使って約30社のAI企業を約4日間で連続攻撃し、十を超える経路で未公開のClaudeモデルへのアクセスを試みましたが、そのすべてが失敗に終わっています。ここでも、関わった鍵はすべて顧客環境から盗まれたもので、Anthropic自身のシステムは侵害されていません。

影響工作・監視・詐欺 — 9件の情報操作と国家に紐づく監視

影響工作では、ロシア・イラン・トルコや湾岸・南アジア・アフリカ・欧州発の9件の事案が、6大陸の読者を狙っていました。中央アフリカ共和国向けの事案(GTG-04001)は、ワグネル系のラジオ局を使った国営メディア連携でした。フランスの広告代理店LKM社が運営したとされる事案(GTG-54002)は、約70の偽ニュースサイトと250を超える偽アカウントを使い、8,913本の記事を約20言語で配信していました。マレーシア向けの商用選挙操作プラットフォーム(GTG-84005)は、222の選挙区すべてを対象にした約1,000件の偽アカウント網を運用していました。ある政府高官のアカウントには、100万件の水増し閲覧数を発注する動きも確認されています。

監視領域では、マリの国家情報機関向けの開発で、Claudeが主要なエンジニアリング要員として使われました。こうして構築されたのが、約2,500万件のSIMカードを対象にする国家規模の監視基盤「Lakana 360」です。裁判所の令状を要求する機能は、運営者側の求めに応じて外されていました。詐欺領域では、20を超える出会い系アプリを運営する事業者が、2週間で4,700を超えるAIペルソナを使い、2万5,000人を超える利用者と会話させていました。利用者が見るフィードは4件に3件がAIペルソナでした。残り4分の1は運営が雇った実在の人物で、ビデオ通話などの「本物らしさの確認」に応じる役割を担っていました。

通常兵器開発への悪用と新設された評価軸

前回の2025年11月のレポート以降、Claudeを兵器の設計・開発ソフトウェアに使う新しい種類の悪用が確認されました。今回報告されたのは、中国3件・ロシア2件・イエメン1件の計6件です。イエメン北部を拠点とする攻撃者(GTG-87001)は、誘導ロケットの制御ソフトウェアをClaude Codeで開発しました。搭載先は市販のスマートフォン級フライトコンピューターで、実際の発射試験まで行っています。試験は失敗に終わり、攻撃者は数時間以内にClaudeへ原因分析を依頼しています。ロシア拠点のチーム(GTG-27005)は、人が最終判断をせずに攻撃対象への突入を判断できる自律型ドローン群のソフトウェアを開発していました。

このレポートと同時に、Anthropicのフロンティアレッドチームは新しい評価軸を公開しています。測るのは、断片的な情報から人の所在を割り出す標的選定の能力や、移動目標を攻撃するドローンの設計能力です。詳しい評価結果と手法は、通常兵器の標的選定に関する評価レポートにまとまっています。高威力爆薬や兵器開発に関わるやり取りを検知する新しい分類器も、この報告に合わせて導入されました。

生物学的リスクとデュアルユースの難しさ

生物学的悪用の領域では、5件のケーススタディが紹介されています。チクングニア熱ウイルスの機能獲得研究を目的とした申請では、生物学的安全性の分類器がすべてのやり取りを遮断しました。ただし運営者は、Claudeが拒否したリクエストを、より制限の緩い別のモデルへ自動で振り分ける仕組みを用意していました。鳥インフルエンザの哺乳類適応研究に関する事例では、分類器が強く働き、やり取りは最も能力の低いモデル群(Claude Sonnet 4とHaiku 4.5)に限られました。専門家レベルの生物学研究タスクを実行できないモデル群のため、得られた支援は事務的な補助にとどまりました。天然痘に近縁のオルソポックスウイルスに関する研究助成金の申請書は、Opus 5を使って約1時間で作成されており、この申請を扱った再販業者は約12社の顧客に同様のサービスを提供していました。

残る2件は毒素とペプチドの研究です。1件は鎮痛薬や抗うつ薬の開発を掲げた毒ペプチドのアトラスで、もう1件は国家プログラム向けに毒素を計算で再設計するものでした。成果物にはオーストラリア・グループの輸出管理リストが対象とする有毒性の高い配列も含まれていました。こうした研究の多くは、正当な医学研究と見分けがつきにくい「デュアルユース」の性質を持ちます。敵対的な国家機関に紐づく活動30日分を追加で調査したところ、35件ほどの研究活動が見つかり、その大半は通常の民生科学でしたが、一部にはデュアルユースの懸念が残りました。

不正蒸留 — 中国拠点の7ラボが仕掛けた抽出攻撃

2月の最初の開示以降、中国を拠点とする7つのラボによる不正蒸留攻撃が新たに検知・妨害されています。対象はいずれも一般提供モデルで、限定公開のMythos 5やMythos Previewを狙った試みは確認されていません。規模が桁違いなのはAlibaba(Qwen/Tongyi Lab)関連で、これまでに計測した中で最大規模でした。ピーク時には1日あたり約300万件のやり取りを、3,500を超える不正アカウントから送り込んでいます。5月から7月の間だけで、1億5,100万件を超えるやり取りを記録しました。Moonshot AIは自社のKimiの代わりにひそかにClaudeへリクエストを転送し、10日間で約30万件(大半はOpus)を中継、5月から7月で2,300万件を超えるやり取りを記録しています。中継に使われたプロキシ網は5,380の不正アカウントで、大半はシンガポールと日本にあるように見えたとされています。この過程では、中国の大手国有企業のエンジニアが、有力テック企業を含む複数の中国大手企業の内部コードと有効な認証情報を含む問い合わせをClaude側へ送っていたことも確認されました。

DeepSeekも同様の手口で、7月の14日間だけで1,210万件を超えるやり取りを記録し、ロシアの政府機関に関連するデータベースの有効な認証情報が含まれる問い合わせも中継されていました。Zhipu(Z.ai)は273の不正アカウントを使い、6月の10日間で77万609件、6〜7月の17日間では340万件を超えるやり取りが記録されています。ZhipuはGLM 5.3の開発に向けてAnthropicのFableモデルのサイバー能力も狙いましたが、強化された防御によって攻撃が失速しました。そのため標的をOpus 4.6と他社の主力モデルへ切り替えています。Xiaomiは3月から4月の20日間で1,500を超えるアカウントを使い、40万件を超えるリクエストを送っていました。

不正蒸留のリスクを下げるため、Claudeは応答のたびに、生の推論ではなく「thinking signature」という参照を返します。APIが後続の呼び出しで、この参照から生の推論トレースを引き当てる仕組みです。MoonshotとDeepSeekは、この署名を保存して新しいセッションを開き、署名を完全な推論トレースへ戻させるcross-session replay攻撃で、推論の書き起こしを集めていました。これらの攻撃に対し、Claudeはすでに応答前に内部の推論を要約する仕組みを導入しています。さらにFable 5.1では「preserved thinking」が導入されました。複数ターンの会話で、推論より前にあるシステムプロンプトやツール定義、メッセージを、新規のAPIアカウントが書き換えられないようにする仕組みです。不正な再販や未対応地域からのアクセスなど、悪用の兆候を検知した場合には、本人確認を要求し、応じないアカウントを停止する仕組みも導入されています。

過去の脅威レポートとのつながり

過去の脅威レポートとの関係は次のとおりです。

攻撃の自律化は、アクターを見分ける指標を「巧妙さ」から「意図」へ変えた

攻撃の手口そのものは新しくありません。盗まれた認証情報、パッチ未適用のエッジ機器、露出したサービス、SQLインジェクション、フィッシングといった既知の型です。変わったのは経済性で、偵察・エクスプロイト開発・ツール開発・データ処理という労務をAIが引き受けました。個々の操作者が侵入を2〜3時間で終え、数十の被害者を並行して扱う例が報告されています。報告はこれを「コストが防御側に戻った」と表現しています。新しい検知ルールで攻撃者の動きを遅らせる従来の手が、静的な検知だけでは効きにくくなるという論点です。ただし、標的選定・成果の収益化・結果の確認といった重要な判断は、いまも人間が握っています。巧妙さで攻撃者を分類する手法は、もう機能していません。欧州の政治団体を狙ったGTG-50029の事例はその象徴です。ハクティビスト1人が42標的のうち少なくとも14に内部侵入し、数千万行規模のdoxxingプラットフォームを構築しました。国家の後ろ盾を持たない個人でも、国家系アクターと並ぶ規模の攻撃基盤を1人で組み上げられることを示しています。

不正蒸留の被害規模を数値付きで公表した姿勢も、業界全体の流れに沿うものと見ることもできます。OpenAIは2025年初めから同種の攻撃に言及しており、Googleも今年、敵対的な蒸留を追跡する仕組みを公開しました。フロンティアラボが被害の実数を開示する慣行が広がれば、業界横断での対策の比較がしやすくなります。

まとめ

持ち帰る判断は2つです。1つ目は、AIのAPIキーとセッショントークンを、本番のデータベース認証情報と同じ失効手順の下に置くこと。2つ目は、無監督で回しているエージェントの範囲と、割引再販のような非公式の入口を洗い出すことです。検知のたびにマルウェアを作り直す攻防は、人が承認を挟む速度では追いつきません。